Сегодня в ТОП-5 — критические уязвимости в продуктах AMI и в плагине WordPress, уязвимость в популярной библиотеке шрифтов FreeType и в Apache NiF, а также устраненные уязвимости в библиотеке Ruby-saml.
Исправлены критические уязвимости в продуктах AMI
Ведущий поставщик прошивок BIOS выпустил обновления для нескольких критических уязвимостей в своих продуктах. Самая серьезная уязвимость CVE-2024-54085 (CVSS: 10.0) затрагивает ПО AMI MegaRAC SPx Baseboard Management Controller (BMC). Успешная эксплуатация уязвимости может привести к полной компрометации уязвимой системы, включая потерю конфиденциальности, целостности и доступности. Другая уязвимость, отслеживаемая как CVE-2024-54084 (CVSS: 7.5), позволяет злоумышленнику с локальным доступом запускать произвольный код. Еще одна закрытая уязвимость CVE-2024-12546 (CVSS 3,5) затрагивает EDK2 — реализацию UEFI, используемую в различных продуктах прошивки AMI, что приводит к отказу в обслуживании. Пользователям прошивки AMI и программного обеспечения BMC настоятельно рекомендуется обновить свои системы до последних версий.
Критическая уязвимость в плагине WordPress
В популярном плагине WordPress «HUSKY – WooCommerce Products Filter Professional», ранее известном как WOOF, была обнаружена критическая уязвимость. Уязвимость получила идентификатор CVE-2025-1661 (CVSS: 9.8) и позволяет неаутентифицированным злоумышленникам выполнять PHP-код на стороне скомпрометированного сервера. Злоумышленник может воспользоваться уязвимостью без входа в систему, чтобы получить доступ к конфиденциальной информации и полностью контролировать систему. Для устранения уязвимости и защиты сайта от возможных атак рекомендуется обновить плагин HUSKY до версии 1.3.6.6.
Уязвимость в популярной библиотеке шрифтов FreeType
В широко используемой библиотеке рендеринга шрифтов FreeType обнаружена критическая уязвимость CVE-2025-27363 (CVSS: 8.1). Данная уязвимость затрагивает версии FreeType 2.13.0 и ниже. В случае успешной эксплуатации уязвимости злоумышленник может записать данные за пределами выделенной памяти, что потенциально позволит выполнить произвольный код в пораженной системе и получить контроль над целевыми устройствами. Отмечается, что уязвимость может получить широкое распространение из-за использования FreeType в различных операционных системах. Рекомендуется обновить библиотеки FreeType до исправленной версии как можно скорее.
Уязвимости в библиотеке Ruby-saml исправлены
В библиотеке с открытым исходным кодом Ruby-saml были обнаружены две серьезные уязвимости безопасности, которые могут позволить злоумышленникам обойти защиту аутентификации Security Assertion Markup Language (SAML). Уязвимости, отслеживаемые как CVE-2025-25291 и CVE-2025-25292, имеют оценку CVSS: 8.8. Они затрагивают версии библиотеки от 1.13.0 включительно до 1.18.0 и все версии младше 1.12.4. Рекомендуется немедленно обновить библиотеку Ruby-saml до исправленной версии для устранения уязвимостей и защиты системы от обхода аутентификации. Обнаружена уязвимость в Apache NiFi В популярном инструменте для автоматизации работы и визуализации данных Apache NiFi обнаружена уязвимость безопасности, отслеживаемая как CVE-2025-27017 (CVSS: 6.9). Она затрагивает Apache NiFi версий 1.13.0–2.2.0 и позволяет злоумышленнику получать несанкционированный доступ к конфиденциальным учетным данным MongoDB. Уязвимость также дает возможность злоумышленнику получить несанкционированный доступ к данным, хранящимся в базе данных Mongo. Уязвимость устранена в версии Apache NiFi 2.3.0. Пользователям, использующим Apache NiFi, рекомендуется обновить свои системы до последней версии, чтобы предотвратить потенциальные утечки данных и обезопасить DB от неправомерного доступа.
Источник: habr.com
